Ha ChatGPT-t használsz marketingre, valószínűleg alkalmazó vagy.

Ha viszont egy AI-rendszert a saját neved alatt fejlesztesz vagy fejlesztetsz, majd saját szolgáltatásként használod vagy piacra viszed, már szolgáltatói szerepbe kerülhetsz.

És a kettő között rengeteg olyan helyzet van, ahol már nem ennyire egyértelmű a válasz.

Mi történik például, ha:

külső AI-chatbotot teszel a webshopodra;
saját tudásbázissal egészíted ki;
OpenAI API-ra építesz saját ügyfélszolgálati megoldást;
white-label AI-rendszert adsz az ügyfeleidnek;
vagy egy kész AI-t teljesen más célra kezdesz használni?

Az AI Act szempontjából a szerepkör azért fontos, mert nem ugyanazok a kötelezettségek vonatkoznak arra, aki egy AI-rendszert használ, és arra, aki szolgáltatóként felel érte.

A rendelet definíciója szerint a provider, vagyis szolgáltató olyan szereplő, aki AI-rendszert vagy általános célú AI-modellt fejleszt vagy fejlesztet, majd azt saját neve vagy védjegye alatt piacra helyezi vagy üzembe helyezi. A deployer, vagyis alkalmazó ezzel szemben olyan szervezet, amely az AI-rendszert saját irányítása alatt használja.

A kulcskérdés ezért nem egyszerűen az:

„Ki írta a kódot?”

Hanem inkább:

„Ki használja, ki kínálja, milyen név alatt, milyen célra és mennyire változtatta meg a rendszert?”

Fontos: a cikk általános szakmai tájékoztatás. Egy összetett AI-termék vagy magas kockázatú alkalmazás szerepkörének meghatározásánál egyedi jogi értékelés is szükséges lehet.

Röviden: alkalmazó vagy szolgáltató?

A legtöbb KKV-nál jó első közelítés ez:

Helyzet	Tipikus szerep
ChatGPT használata belső munkára	Alkalmazó
Microsoft Copilot használata	Alkalmazó
Külső SaaS AI-chatbot használata a szolgáltató rendszerével	Jellemzően alkalmazó
Saját AI-rendszer fejlesztése	Szolgáltató
Külső céggel saját AI-rendszer fejlesztetése, majd saját név alatt használata	Szolgáltató lehet
AI API-ra épített saját, ügyfeleknek kínált AI-szolgáltatás	Az AI-rendszer szolgáltatója lehetsz
Magas kockázatú AI saját név alatti újramárkázása	Szolgáltatói szerepbe kerülhetsz
High-risk AI lényeges módosítása	Szolgáltatói szerepbe kerülhetsz

A táblázat iránymutatás, nem automatikus jogi besorolás.

A konkrét rendszer felhasználási célját és az AI-értékláncban elfoglalt helyedet kell megvizsgálni.

Mit jelent pontosan az „alkalmazó” az AI Act szerint?

Az AI Act angolul deployernek nevezi azt a természetes vagy jogi személyt, hatóságot vagy szervezetet, amely egy AI-rendszert saját irányítása alatt használ, kivéve a személyes, nem szakmai felhasználást.

Ez a legtöbb hagyományos vállalkozás számára ismerős helyzet.

Nem te fejlesztetted az AI-t.

Nem te adod el AI-termékként.

Egyszerűen használod a céged működésében.

Például:

ChatGPT → marketinges → blogcikk első verziója

vagy:

Copilot → pénzügy → dokumentumok összefoglalása

vagy:

külső AI-chatbot → webshop → ügyfélkérdések megválaszolása

Ezekben az esetekben általában alkalmazói helyzetből érdemes kiindulni.

De az, hogy „csak alkalmazó” vagy, nem jelenti azt, hogy nincsenek kötelezettségeid.

Például az AI-jártassági szabályok a szolgáltatókra és alkalmazókra egyaránt vonatkoznak, és 2026. augusztusától ezek felügyelete és végrehajtása is megkezdődött.

Nagy kockázatú AI-rendszereknél pedig az alkalmazókra külön követelmények vonatkoznak, többek között az emberi felügyeletre, a megfelelő használatra és a monitoringra.

Mit jelent a „szolgáltató”?

A szolgáltató – provider – nem feltétlenül ugyanaz, mint aki technikailag megírta a rendszert.

Ez fontos különbség.

Az AI Act szerint szolgáltató az is lehet, aki:

AI-rendszert fejleszt, vagy

AI-rendszert fejlesztet egy másik céggel, majd azt saját neve vagy védjegye alatt piacra helyezi vagy üzembe helyezi.

Példa

Tegyük fel, hogy egy szoftverfejlesztő céggel készíttetsz egy saját AI-alapú ajánlatkészítő rendszert.

A fejlesztő:

elkészíti a kódot;
integrálja az AI-modellt;
összeköti a CRM-mel.

Te pedig:

meghatározod a rendszer célját;
a saját vállalkozásod számára fejleszteted;
a saját rendszeredként helyezed üzembe.

Attól, hogy egy külső fejlesztő írta a kódot, nem következik automatikusan, hogy ő az AI Act szerinti egyetlen szolgáltató.

A provider definíció kifejezetten tartalmazza azt az esetet is, amikor valaki AI-rendszert fejlesztet magának.

Ezért szolgáltatás megrendelésekor a szerződés mellett az AI Act szerepköröket is érdemes tisztázni.

1. helyzet: csak ChatGPT-t használunk

Ez a legegyszerűbb.

A munkatársak ChatGPT-t használnak például:

szövegírásra;
fordításra;
összefoglalásra;
ötletelésre;
adatelemzés támogatására.

Ebben a helyzetben a vállalkozás jellemzően alkalmazó.

A Bizottság az AI-jártassági útmutatójában konkrétan példaként említi azt a céget is, amelynek munkatársai ChatGPT-t használnak reklámszöveg vagy fordítás készítésére: ilyen esetben is releváns az Article 4 szerinti AI-jártasság, például a hallucináció kockázatának ismerete.

Tehát:

ChatGPT használata ≠ saját AI szolgáltatása.

De:

ChatGPT használata ≠ semmilyen AI Act teendő.

2. helyzet: külső AI-chatbotot teszel a webshopodra

Ez már érdekesebb.

Tegyük fel, hogy előfizetsz egy SaaS chatbotra.

A szolgáltató:

adja a chatbot motorját;
biztosítja az AI-rendszert;
üzemelteti a platformot.

Te:

feltöltöd a termékadatokat;
beállítod a tudásbázist;
megadod az instrukciókat;
beilleszted a chatbotot a webshopodba.

Ebben az alaphelyzetben jellemzően alkalmazóként használod a más által biztosított AI-rendszert.

Az egyszerű konfigurálás, prompt megadása vagy saját tudásbázis hozzáadása önmagában nem jelenti automatikusan azt, hogy új AI-rendszer szolgáltatójává váltál.

Viszont további kérdéseket kell feltenni:

Kinek a neve alatt jelenik meg maga az AI-rendszer?

Csak konfigurálod, vagy lényegesen megváltoztatod a működését?

Ugyanarra a célra használod, amelyre a szolgáltató tervezte?

Magas kockázatú felhasználásról van szó?

És van még egy külön kérdés: ha a chatbot közvetlenül természetes személyekkel kommunikál, az AI Act 50. cikke átláthatósági követelményeket ír elő arra, hogy a felhasználó megfelelően értesüljön arról, hogy AI-rendszerrel kommunikál, ha ez a körülményekből nem nyilvánvaló.

3. helyzet: OpenAI API-ból saját chatbotot építesz

Itt már fontos különbséget tenni AI-modell és AI-rendszer között.

Tegyük fel, hogy egy általános célú AI-modell API-ját használod.

Erre építesz:

saját felületet;
saját workflow-t;
saját tudásbázist;
saját üzleti logikát;
saját ügyfélfunkciókat.

Majd ezt:

„DTD AI Ügyfélszolgálat”

néven szolgáltatásként kínálod az ügyfeleknek.

Ilyenkor attól, hogy nem te készítetted az alapmodellt, a ráépülő AI-rendszer szolgáltatója már te lehetsz.

Az AI Act külön fogalmat is használ a downstream providerre: ez olyan AI-rendszer szolgáltatója, amely egy AI-modellt integrál a saját rendszerébe, függetlenül attól, hogy a modellt maga fejlesztette vagy más szolgáltatótól kapta.

Ez azt jelenti, hogy egyetlen AI-értékláncban több szereplő lehet egyszerre.

Például:

alapmodell szolgáltató → saját AI-rendszert építő cég → végfelhasználó vállalkozás

Mindháromnak más szerepe lehet.

4. helyzet: külső fejlesztő készíti el a saját AI-rendszeredet

Itt gyakran elhangzik:

„Nem mi fejlesztettük, tehát nem mi vagyunk a szolgáltató.”

Ez túl egyszerű következtetés.

A provider definíció nem csak azt mondja, hogy „aki fejleszt”.

Azt is mondja:

aki fejlesztet, majd az AI-rendszert saját neve alatt piacra helyezi vagy üzembe helyezi.

Ezért egy egyedi AI-projektnél érdemes már a szerződéskötés előtt tisztázni:

ki határozza meg a rendeltetési célt;
ki felel az AI-rendszerért;
ki adja a technikai dokumentációt;
ki monitoroz;
ki kezeli a változtatásokat;
ki vállalja a provider kötelezettségeket, ha azok felmerülnek.

Ezt sokkal egyszerűbb a projekt elején tisztázni, mint akkor, amikor már kész a rendszer.

5. helyzet: white-label AI-t adsz tovább

A white-label helyzet különösen érzékeny lehet.

Tegyük fel, hogy vásárolsz egy kész AI-megoldást, majd:

saját márkád alá teszed;
ügyfeleidnek saját AI-rendszerként értékesíted;
az eredeti szolgáltató a háttérben marad.

Magas kockázatú AI-rendszereknél az Article 25 kifejezetten kezeli azt az esetet, amikor egy alkalmazó, importőr, disztribútor vagy más szereplő saját nevét vagy védjegyét teszi egy már forgalomba hozott high-risk AI-rendszerre: ilyen esetben szolgáltatói szerepbe kerülhet. A jelenlegi, 2026. július 27-től konszolidált AI Act továbbra is tartalmazza ezt a szolgáltatóvá válási mechanizmust.

Ez tehát az a helyzet, ahol a:

„Mi csak továbbértékesítjük”

érv önmagában már nem feltétlenül elég.

6. helyzet: módosítasz egy kész AI-rendszert

Itt jön a másik fontos határvonal.

Az AI Act meghatározza a substantial modification, vagyis lényeges módosítás fogalmát.

Ez olyan, a piacra helyezés vagy üzembe helyezés után történő változtatás, amelyet az eredeti szolgáltató nem tervezett az értékelésben, és amely a high-risk követelményeknek való megfelelést érintheti vagy megváltoztatja azt a rendeltetési célt, amelyre a rendszert értékelték.

High-risk AI esetében az Article 25 szerint szolgáltatóvá válhat az a szereplő, aki:

saját név alá helyezi a rendszert;

lényegesen módosítja úgy, hogy továbbra is high-risk marad;

vagy

megváltoztatja egy korábban nem high-risk AI rendeltetési célját úgy, hogy az high-risk felhasználássá válik.

Ez már nagyon más helyzet, mint egy prompt módosítása.

A veszélyes példa: általános AI-ból HR-rendszer

Tegyük fel, hogy egy általános AI-eszközt eredetileg dokumentumfeldolgozásra használtál.

Majd felépítesz rá egy új folyamatot:

önéletrajz → AI értékelés → jelölt pontszám → rangsorolás

Ezzel már munkavállalással és toborzással kapcsolatos felhasználás jelenhet meg.

Az AI Act Annex III bizonyos foglalkoztatási és munkaerő-kiválasztási AI-használatokat high-risk kategóriába sorol. Ha egy korábban nem high-risk rendszer rendeltetési célját úgy változtatod meg, hogy az high-risk lesz, az Article 25 szolgáltatói felelősséget is kiválthat.

Ezért egy fontos szabály:

ne csak az AI-eszközt vizsgáld, hanem azt is, mire használod.

Alkalmazóként könnyebb dolgod van?

Általában igen, de nem feltétlenül kevés a feladat.

High-risk rendszereknél jól látszik a különbség.

A szolgáltató felel többek között a rendszer megfelelőségéért, minőségirányításáért, technikai dokumentációjáért, megfelelőségértékeléséért és egyéb piacra helyezés előtti követelményekért.

Az alkalmazó feladata ezzel szemben elsősorban a megfelelő használat és működtetés: high-risk rendszernél például az utasítások követése, megfelelő emberi felügyelet biztosítása és a rendszer monitorozása.

Egyszerűsítve:

Szolgáltató	Alkalmazó
megfelelőség kialakítása	megfelelő használat
rendszertervezési kontrollok	működési kontrollok
technikai dokumentáció	belső használati dokumentáció
megfelelőségértékelés, ahol szükséges	instrukciók követése
rendszer megfelelőségének igazolása	emberi felügyelet, ahol szükséges
piacra helyezési felelősség	használat közbeni monitoring

Ez azonban főleg high-risk rendszereknél válik igazán hangsúlyossá. A pontos követelmény mindig a rendszer besorolásától függ.

A 6 kérdéses szerepkör-döntési útmutató

Ha szeretnéd gyorsan felmérni a helyzetet, rendszerenként menj végig ezen a hat kérdésen.

1. Ki fejlesztette az AI-rendszert?

Ha kész terméket vásároltál, ez az alkalmazói szerep felé mutat.

Ha te fejlesztetted vagy fejlesztetted, a szolgáltatói szerepet is vizsgálni kell.

2. Ki határozza meg a rendszer rendeltetési célját?

Nem mindegy, hogy egy kész chatbotot rendeltetésszerűen használsz, vagy teljesen új üzleti funkcióra alakítod át.

3. Kinek a neve alatt működik?

Ha saját AI-rendszerként kínálod, a provider státuszt mindenképpen ellenőrizni kell.

High-risk rendszer saját név vagy védjegy alatti újramárkázásánál az Article 25 külön szolgáltatóvá válási szabályt tartalmaz.

4. Mennyire módosítottad?

Konfiguráció?

Prompt?

Saját tudásbázis?

Finomhangolás?

Új döntési funkció?

A változtatás mélysége és hatása számít.

5. Ugyanarra használod, amire tervezték?

Ez különösen fontos high-risk területeknél.

A „rendeltetési cél” az AI Actben önálló, definiált fogalom, amelyet többek között a szolgáltató által megadott használati információ, értékesítési anyag és technikai dokumentáció határoz meg.

6. High-risk lett a használat?

Ha igen, már nem elég az egyszerű SaaS-logikából kiindulni.

Részletesebb Article 25 és high-risk vizsgálat szükséges.

Gyors példák KKV-knak

Felhasználás	Elsőként vizsgálandó szerep
ChatGPT blogírásra	Alkalmazó
Copilot dokumentumokhoz	Alkalmazó
Külső webshop chatbot	Jellemzően alkalmazó
Saját CRM-be kötött külső AI API belső használatra	Részletesebb vizsgálat
Saját AI-chatbot SaaS értékesítése	Szolgáltató
Saját név alatt fejlesztetett AI-rendszer	Szolgáltató lehet
White-label high-risk AI	Szolgáltatóvá válás vizsgálandó
AI átépítése HR-rangsorolásra	High-risk + provider státusz vizsgálandó

A „részletesebb vizsgálat” nem azt jelenti, hogy biztosan szolgáltató vagy.

Azt jelenti, hogy az egyszerű alkalmazói besorolás már nem elegendő bizonyíték.

Elkövethető-e az a hiba, hogy mindkettő vagy?

Igen.

Nem kell az egész vállalkozásra egyetlen szerepkört választani.

Ugyanaz a cég lehet:

alkalmazó a ChatGPT használatakor;

és közben

szolgáltató a saját ügyfeleinek kínált AI-rendszernél.

Az AI Act szerepkörét ezért AI-rendszerenként érdemes meghatározni.

Ez egyben azt is jelenti, hogy az AI-leltárban érdemes külön oszlopot fenntartani:

„AI Act szerepkör”

értékkel.

Mit dokumentálj?

Nem szükséges minden egyszerű AI-eszközről jogi tanulmányt írni.

Viszont rendszerenként érdemes legalább rögzíteni:

Rendszer: XY Chatbot
Szolgáltató: XY Ltd.
Felhasználási cél: webshop ügyfélszolgálat
Saját módosítás: tudásbázis + instrukciók
AI Act szerepkör: alkalmazó
Indoklás: külső rendszer rendeltetésszerű használata
Felülvizsgálat: jelentős funkcióváltozás esetén

Ezzel később nem kell újra nulláról végiggondolni, hogy miért jutottál az adott besorolásra.

Ez különösen fontos, ha egy rendszer funkciói idővel megváltoznak.

Mikor kérj szakértői ellenőrzést?

Az egyszerű alkalmazói helyzet általában gyorsan felismerhető.

Érdemes mélyebbre menni, ha:

saját AI-terméket fejlesztesz;
AI API-kból saját megoldást építesz ügyfeleknek;
white-label AI-t értékesítesz;
jelentősen módosítasz külső AI-rendszert;
megváltoztatod a rendszer eredeti használati célját;
HR-ben, hitelbírálatban vagy más high-risk területen használod;
nem egyértelmű, ki felel a megfelelőségért;
a szerződés és a tényleges működés eltér;
ügyfeled bizonyítékot kér a szerepkörödre.

Ilyenkor a szerepkör már nem pusztán terminológiai kérdés.

Meghatározhatja a teljes megfelelőségi kötelezettségcsomagot.

Gyakori kérdések

Ha ChatGPT-t használunk, szolgáltatóvá válunk?

Nem attól, hogy használjátok. Egy kész AI-rendszer saját üzleti működésben történő használata jellemzően alkalmazói helyzet. A pontos szerepkört a konkrét használat alapján kell meghatározni.

Ha saját adatokat töltök egy chatbot tudásbázisába, már szolgáltató vagyok?

Nem automatikusan. A konfiguráció vagy tudásbázis hozzáadása önmagában nem jelenti feltétlenül azt, hogy új AI-rendszer szolgáltatójává váltál. Vizsgálni kell többek között a rendszert, a módosítás mélységét, a rendeltetési célt és high-risk esetben az Article 25 szabályait.

Ha egy fejlesztőcég készíti az AI-mat, akkor ő a szolgáltató?

Nem feltétlenül csak ő. A provider definíció azt a szervezetet is magában foglalhatja, amely AI-rendszert fejlesztet, majd azt saját neve alatt piacra helyezi vagy üzembe helyezi.

Ha OpenAI API-t használok, én vagyok az OpenAI modell szolgáltatója?

Nem. Az alapmodell szolgáltatója külön szereplő marad. Viszont a modellre épített saját AI-rendszernek te lehetsz a downstream szolgáltatója, ha a provider definíció feltételei teljesülnek. Az AI Act külön definiálja a downstream providert.

A szerepkör egyszer meghatározható, és kész?

Nem feltétlenül. Ha a rendszer felhasználási célja, márkázása vagy működése jelentősen megváltozik, a szerepkört is érdemes újravizsgálni.

Összegzés: ne azt kérdezd, ki írta a kódot

Az alkalmazó és szolgáltató közötti különbség elsőre technikai részletnek tűnhet.

Valójában az AI Act megfelelés egyik alapja.

A legegyszerűbb eset:

kész AI-t használsz → alkalmazó.

A másik véglet:

saját AI-t fejlesztesz és saját név alatt kínálod → szolgáltató.

A kettő között pedig ezt vizsgáld:

Ki fejlesztette vagy fejlesztette? → Kinek a neve alatt működik? → Mire tervezték? → Mire használod? → Mit módosítottál? → High-risk lett-e?

Ha ezekre rendszerenként tudsz válaszolni, már sokkal közelebb vagy a helyes besoroláshoz.

És ez az egyik legfontosabb tanulság:

nem a cégednek van egyetlen AI Act szerepköre. Minden AI-rendszernél külön meg kell nézni, milyen szerepet töltesz be.

Ellenőrizd a saját AI-rendszereidet

Ha már több AI-eszközt használtok, érdemes az AI Act önértékelő checklistben rendszerenként rögzíteni:

a felhasználási célt;
a szolgáltatót;
a saját módosításokat;
az AI Act szerepkört;
a kockázati kategóriát;
és a szerepkör meghatározásának indoklását.

Így gyorsan láthatóvá válik, hol vagytok egyszerű alkalmazói helyzetben, és mely rendszernél szükséges részletesebb vizsgálat.

→ AI Act önértékelő checklist: [LINK]